Infection tenace : Rundll32.exe iexplore.exe - Page 2

Précédent
  • 1
  • 2
Réponse 21 / 39
Zergola
 
1. ========================= SEAF 1.0.1.0 - C_XX
2.
3. Commencé à: 13:01:01 le 01/11/2010
4.
5. Valeur(s) recherchée(s):
6. f2r4v4O1.exe
7.
8. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès
9.
10. (!) --- Calcul du Hash "MD5"
11. (!) --- Informations supplémentaires
12. (!) --- Recherche registre
13.
14. ====== Fichier(s) ======
15.
16.
17. "C:\Qoobox\Quarantine\C\ProgramData\f2r4v4O1.exe.vir" [ NOT_CONTENT_INDEXED|ARCHIVE | 78 Ko ]
18. TC: 31/10/2010,17:17:59 | TM: 31/10/2010,17:17:58 | DA: 31/10/2010,17:47:49
19.
20. Hash MD5: 1563ECCBF0F2179524082AF25384EF33
21.
22.
23. =========================
24.
25.
26.
27. ====== Entrée(s) du registre ======
28.
29.
30. [HKLM\Software\Microsoft\Windows\Windows Error Reporting\Debug]
31. "StoreLocation"="C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_f2r4v4O1.exe_d379b93f0a5ec685ec1d2db3fb45e274eeba26_13bb13de" (REG_SZ)
32.
33. [HKU\.DEFAULT\Software\Microsoft\Windows\Windows Error Reporting\Debug]
34. "StoreLocation"="C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_f2r4v4O1.exe_d379b93f0a5ec685ec1d2db3fb45e274eeba26_13bb13de" (REG_SZ)
35.
36. [HKU\S-1-5-18\Software\Microsoft\Windows\Windows Error Reporting\Debug]
37. "StoreLocation"="C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_f2r4v4O1.exe_d379b93f0a5ec685ec1d2db3fb45e274eeba26_13bb13de" (REG_SZ)
38.
39. =========================
40.
41. Fin à: 13:04:33 le 01/11/2010
42. 575682 Éléments analysés
43.
44. =========================
45. E.O.F
0
Réponse 22 / 39
Utilisateur anonyme
 
Re

La détection est dans la quarantaine de ComboFix.

Nettoyons et ensuite on reprend depuis le début.

Télécharge DelFix de Xplode

* Lance le.
* A l'invite, [Suppression] ()
* Un rapport va s'ouvrir à la fin, colle le dans la réponse

Ensuite pour le désinstaller ; tu relances et tu passes à l'option [Désinstallation]
Il faut supprimer le fichier .exe manuellement.

@+

0
Réponse 23 / 39
Zergola
 
Qu'entends tu par "on reprend depuis le début" Je relance un Diag puis comboFix ?

Voila le dernier rapport que tu m'a demandé !

Rapport DelFix v6.0 - 01/11/2010 à 13:22,25
Mis à jour le 22/10/10 à 13h30 par Xplode
Système d'exploitation : Windows 7 Professional (32 bits) [version 6.1.7600]
Navigateur : Mozilla Firefox 3.6.12 (fr) [Navigateur par défaut]
Processeur : Intel(R) Core(TM)2 Duo CPU T9300 @ 2.50GHz
Mémoire vive totale : 2,99 Go
Nom d'utilisateur : Martin - ZERGOLA-5 (Administrateur)
Exécuté depuis : C:\Users\Martin\Desktop\DelFix.exe

~~~~~~ Dossier(s) ~~~~~~

Supprimé : C:\Qoobox
Supprimé : C:\USBFix
Supprimé : C:\MyHosts
Supprimé : C:\Program Files\ZHPDiag
Supprimé : C:\Program Files\SEAF
Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZHP

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\ComboFix.txt
Supprimé : C:\UsbFix.txt
Supprimé : C:\UsbFix_Upload_Me_ZERGOLA-5.zip
Supprimé : C:\rkill.log
Supprimé : C:\TDSSKiller.2.4.5.1_01.11.2010_10.33.36_log.txt
Supprimé : C:\TDSSKiller.2.4.5.1_30.10.2010_15.39.18_log.txt
Supprimé : C:\TDSSKiller.2.4.5.1_30.10.2010_15.42.51_log.txt
Supprimé : C:\TDSSKiller.2.4.5.1_31.10.2010_19.07.07_log.txt
Supprimé : C:\TDSSKiller.2.4.5.1_31.10.2010_19.07.09_log.txt
Supprimé : C:\TDSSKiller.2.4.5.1_31.10.2010_21.22.28_log.txt
Supprimé : C:\TDSSKiller.2.4.5.1_31.10.2010_23.10.37_log.txt
Supprimé : C:\MyHosts.txt
Supprimé : C:\ZHPExportRegistry-01-11-2010-08-53-56.txt
Supprimé : C:\Windows\grep.exe
Supprimé : C:\Windows\PEV.exe
Supprimé : C:\Windows\NIRCMD.exe
Supprimé : C:\Windows\MBR.exe
Supprimé : C:\Windows\sed.exe
Supprimé : C:\Windows\SWREG.exe
Supprimé : C:\Windows\SWSC.exe
Supprimé : C:\Windows\SWXCACLS.exe
Supprimé : C:\Windows\zip.exe
Supprimé : C:\Users\Martin\Desktop\MyHosts.exe
Supprimé : C:\Users\Martin\Desktop\UsbFix.exe
Supprimé : C:\Users\Martin\Desktop\TDSSKiller.exe
Supprimé : C:\Users\Martin\Desktop\CFScript.txt
Supprimé : C:\Users\Martin\Desktop\SEAF.exe
Supprimé : C:\Users\Martin\Desktop\ZHPDiag.exe
Supprimé : C:\Users\Martin\Desktop\ZHPDiag.txt
Supprimé : C:\Users\Martin\Desktop\ZHPFixReport.txt
Supprimé : C:\Users\Public\Desktop\ZHPDiag.lnk
Supprimé : C:\Users\Public\Desktop\ZHPFix.lnk
Supprimé : C:\Users\Public\Desktop\MBRCheck.lnk
Supprimé : C:\Users\Martin\Downloads\rkill.exe
Supprimé : C:\Users\Martin\Downloads\HijackThis.exe
Supprimé : C:\Users\Martin\Downloads\hijackthis.log
Supprimé : C:\Users\Martin\Downloads\HiJackThis.msi

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKLM\Software\swearware
Clé Supprimée : HKLM\Software\TrendMicro
Clé Supprimée : HKCU\SOFTWARE\USBFix
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\SEAF
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\USBFix
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1

########## EOF - "C:\DelFixSuppr.txt" - [2887 octets] ##########
0
Réponse 24 / 39
Utilisateur anonyme
 
Re

On reprend l'analyse ;c'est tout.

Ouvre ce lien et télécharge ZHPDiag de Nicolas Coolman :

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

Ou

https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/

Serveur N°2

Ou

http://www.premiumorange.com/zeb-help-process/zhpdiag.html
en bas de la page ZHP avec un numéro de version.

Une fois le téléchargement achevé, dé zippe le fichier obtenu et place ZHPDiag.exe sur ton Bureau.

Double-clique sur l'icône pour lancer le programme. Sous Vista ou Seven clic droit « exécuter en tant que administrateur »

Clique sur la loupe pour lancer l'analyse.

Laisse l'outil travailler, il peut être assez long.

Ferme ZHPDiag en fin d'analyse.

Pour transmettre le rapport clique sur ce lien :

http://www.cijoint.fr/index.php
Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).

Sélectionne le fichier ZHPDiag.txt.

Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt

est ajouté dans la page.

Copie ce lien dans ta réponse.

Merci
@+
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 25 / 39
Zergola
 
Re,

cijoint.fr marche tjs pas voici le Rapport à jour :

http://www.ahbon.fr
0
Réponse 26 / 39
Utilisateur anonyme
 
Re

Peux tu me poster ton Fichier Hosts.
Ce lien rien que pour que tu saches où est ce fichier.
Merci.

@+
---------Contributeur Sécurité---------
On a tous été un jour débutant dans quelque chose.
Mais le savoir est la récompense de l'assiduité.
0
Réponse 27 / 39
Zergola
 
# Copyright (c) 1993-2006 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host
#
# Ce fichier hosts a été crée par MyHosts de "jeanmimigab"
#
# https://sites.google.com/site/jeanmimigab/home/myhosts/tutoriel-myhosts-1

127.0.0.1 localhost
::1 localhost
0
Réponse 28 / 39
Utilisateur anonyme
 
Re

Et tu as toujours des problèmes pour faire Windows update?

@+
0
Réponse 29 / 39
Zergola
 
Oui, je viens de faire un screenshot :

http://www.ahbon.fr

l'erreur a toujours le code 80072EFE
0
Réponse 30 / 39
Utilisateur anonyme
 
Re

Vérifions quelque chose:

Télécharge FindyKill ( de El Desaparecido) sur ton bureau et installe le :

http://www.teamxscript.org/findykillTelechargement.html

! Déconnecte toi et ferme toutes applications en cours !

* Double clique sur "FindyKill.exe" pour lancer l'installation et laisse les paramètres d'installation par défaut.

* Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...)

* Double-clique sur le raccourci FindyKill qui est sur ton bureau pour lancer l'outil.
* Au menu principal choisis l'option " F " pour français et tape sur [entrée] .

* Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée]

Laisse travailler l'outil et ne touche à rien ...

--> Poste le rapport qui apparaît à la fin , sur le forum ...

( le rapport est sauvegardé aussi sous C:\FindyKill.txt )
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )

Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

@+
0
Réponse 31 / 39
Zergola
 
A noter : j'ai eu par trois fois l'erreur "L'utilitaire (QGREP) de recherche de chaînes de caractères a cessé de fonctionner."

Voici tout de même le rapport :

############################## | FindyKill V5.052 |

# User : Martin (Administrateurs) # ZERGOLA-5
# Update on 23/10/2010 by El Desaparecido
# Start at: 15:23:40 | 01/11/2010
# Website : http://www.teamxscript.org/
# Contact : eldesaparecido@teamxscript.org

# Intel(R) Core(TM)2 Duo CPU T9300 @ 2.50GHz
# Microsoft Windows 7 Professionnel (6.1.7600 32-bit) #
# Internet Explorer 8.0.7600.16385
# Windows Firewall Status : Enabled

# C:\ # Disque fixe local # 372,61 Go (50,29 Go free) # NTFS
# D:\ # Disque CD-ROM # 0 Mo (0 Mo free) [Audio CD] # CDFS
# G:\ # Disque CD-ROM
# H:\ # Disque fixe local # 931,51 Go (575,71 Go free) [Iomega HDD] # NTFS

################## | Eléments infectieux |

################## | Registre |

################## | Etat |

# Affichage des fichiers cachés : OK

# Mode sans echec : OK

# (!) Uac = 0x0

# Ndisuio -> Start = 3 ( Good = 3 | Bad = 4 )
# EapHost -> Start = 3 ( Good = 2 | Bad = 4 )
# Wlansvc -> Start = 2 ( Good = 2 | Bad = 4 )
# SharedAccess -> Start = 2 ( Good = 2 | Bad = 4 )
# windefend -> Start = 2 ( Good = 2 | Bad = 4 )
# wuauserv -> Start = 2 ( Good = 2 | Bad = 4 )
# wscsvc -> Start = 2 ( Good = 2 | Bad = 4 )

################## | ! Fin du rapport # FindyKill V5.052 ! |
0
Réponse 32 / 39
Utilisateur anonyme
 
Re

Ok ;rien de ce côté.

Regarde ici et essaie:
https://forum.malekal.com/viewtopic.php?t=20594&start=

tiens moi au courant ;merci.
@+
0
Réponse 33 / 39
Zergola
 
Oui j'ai déjà vu ce post qui précaunise deux choses:

- Combofix => déjà fait
- TDSSKiller => déjà fait, et ne trouve rien.
0
Utilisateur anonyme
 
oui;
et ça:
http://www.microsoft.com/...

@+
0
Réponse 34 / 39
Zergola
 
Systèmes d'exploitation pris en charge : Windows Server 2008; Windows Vista

J'ai Windows 7 Pro
0
Réponse 35 / 39
Utilisateur anonyme
 
Re

Regarde alors ici:

http://www.forum-vista.net/forum/topic13913.html

Tu sais que Google est ton ami ;-))

@+
0
Réponse 36 / 39
Zergola
 
Rien ce ce qui a d'énoncer sur ce lien n'a marché =(

Avast! me dit que le fichier svchost a été bloqué ! On peut chercher par là non?
0
Réponse 37 / 39
Utilisateur anonyme
 
Re

Poste moi un rapport d'analyse d'Avast;merci.
@+
0
Réponse 38 / 39
Zergola
 
Salut,
je le posterais dès que j'aurais le temps de le faire!!

par contre mainteanant quand je double clic sur un .avi il me dit que ya une "Echec de l'éxécution du server" (alors que le clicker glisser dans le logiciel ouvert fonctionne correctement)
Est ce une manip qu'on a fait qui a fait ca?

Merci !
0
Réponse 39 / 39
Utilisateur anonyme
 
Bonsoir

Il va te falloir récupérer ce CD de Seven.

@+
0
Précédent
  • 1
  • 2

Discussions similaires

Ephemeride.com tenace
baryton3e -
baryton3e -

3 réponses
mystarting123 : un malware tenace
pixmagic -
Destrio5 -

6 réponses
Problème Installation Silverlight tenace ...
tchetchn -
tchetchn -

10 réponses
infection
céline0034 -
totobetourne -

12 réponses
infection
gladiator1952 -
gladiator1952 -

6 réponses